3. 安全架构方法论与框架

在安全架构师面试中，方法论与框架类问题几乎必考。面试官真正想判断的不是“你背过几个缩写”，而是你能否在具体业务约束下选对框架、用对层次、说清落地路径。SABSA、TOGAF安全扩展、OSI安全体系、NIST CSF、ISO 27001这五个框架，分别站在业务架构、企业架构、通信协议、风险管理、管理体系五个不同视角。把它们混为一谈，是面试中最常见的失分点。

一、先建立“视角—层次—产出”的对比坐标

面试回答框架题，建议先给出一句定位，再展开对比。定位可以这样组织：SABSA是业务驱动的安全架构方法论，核心是把安全需求追溯到业务属性；TOGAF安全扩展是把安全能力嵌入企业架构ADM循环；OSI安全体系（ISO 7498-2）提供的是协议层安全服务与机制的映射；NIST CSF是风险管理导向的能力框架，强调识别、保护、检测、响应、恢复、治理；ISO 27001是可认证的信息安全管理体系，强调PDCA与持续改进。

如果面试官追问“它们能不能互相替代”，标准答案是：不能。ISO 27001回答“管理体系是否合规”，NIST CSF回答“安全能力是否覆盖风险”，SABSA回答“安全是否服务业务目标”，TOGAF回答“安全如何融入企业架构治理”，OSI安全体系回答“某个安全服务应落在哪一层”。

二、面试高频对比题与应答要点

常见问法一：“SABSA和TOGAF安全扩展有什么区别？”应答要点：SABSA自下而上从业务属性推导安全服务，产出业务属性目录、安全服务矩阵；TOGAF安全扩展自上而下在ADM各阶段插入安全活动，产出架构需求、架构定义、迁移计划中的安全视图。SABSA更适合安全架构专项设计，TOGAF更适合大型企业整体架构治理。二者可组合：用TOGAF管架构流程，用SABSA管安全需求推导。

常见问法二：“NIST CSF和ISO 27001怎么选？”应答要点：若企业要对外证明合规、参与招投标，优先ISO 27001；若企业要建立可度量的安全能力、做成熟度评估，优先NIST CSF。两者可映射：CSF的“识别”对应ISO 27001的资产管理与风险评价，“保护”对应访问控制与密码，“检测”对应监控与日志，“响应/恢复”对应事件管理与业务连续性。

常见问法三：“OSI安全体系在云原生场景还有用吗？”应答要点：有。它提供的是分层安全服务定位方法。例如传输层用TLS提供机密性与完整性，应用层用OAuth2/OIDC提供认证与授权，网络层用IPSec提供隧道机密性。面试时能说出“某安全服务应放在哪一层、为什么”，比背五类安全服务更有说服力。

三、落地示例：用SABSA推导一条业务安全需求

假设某在线教育平台要上线“直播课堂”，业务属性为“课程内容仅付费学员可见”。按SABSA思路，先定义业务属性，再推导安全服务，最后映射到机制。

业务属性：内容机密性、访问可审计
安全服务：访问控制、审计日志、会话管理
安全机制：RBAC + JWT鉴权 + 直播流加密 + 操作日志留存180天
验证指标：未付费账号访问直播流返回403；日志可追溯到用户ID、时间、课程ID

这个推导过程就是面试中“实际怎么做”的答案。面试官会追问“你怎么验证”，此时给出可观测指标：403比例、鉴权失败告警、日志完整性校验。注意，上述参数为教学示例，实际项目需按业务合规要求调整留存周期。

四、落地示例：用NIST CSF做一次能力差距评估

假设某企业已有防火墙、WAF、堡垒机，但缺少资产台账和事件响应预案。按CSF五功能评估：识别（ID）缺失资产清单，保护（PR）基本覆盖，检测（DE）仅有日志无告警，响应（RS）无预案，恢复（RC）无演练。评分可采用0-4成熟度：0未实施、1部分实施、2已实施未度量、3已度量、4持续优化。示例结果：ID=1，PR=2，DE=1，RS=0，RC=0。据此排优先级：先补ID资产台账，再建RS预案，最后做RC演练。这套评分与排序逻辑，就是面试中“可执行”的体现。

五、面试应答结构建议

遇到框架对比题，可用“定位—差异—组合—场景”四步：先一句话定位每个框架，再讲核心差异，再讲如何组合使用，最后落到一个具体场景。例如：“在金融行业，我们用ISO 27001满足监管合规，用NIST CSF做能力成熟度评估，用SABSA推导核心交易系统的安全需求，用TOGAF把安全纳入企业架构评审，用OSI安全体系定位加密与认证的服务层次。”这样的回答既有广度又有落地感。

六、可直接使用的对比速查表

最后提醒：面试中不要只背框架名称，要能说出“在什么约束下选它、产出什么、怎么验证”。框架是工具，架构师的价值在于把工具用在正确的业务问题上。